DÉCISION D’EXÉCUTION (UE) 2022/1337 DE LA COMMISSION

du 28 juillet 2022

établissant le modèle pour la communication aux ressortissants de pays tiers d’informations relatives au traitement de données à caractère personnel dans le système d’entrée/de sortie

LA COMMISSION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne,

vu le règlement (UE) 2017/2226 du Parlement européen et du Conseil du 30 novembre 2017 portant création d’un système d’entrée/de sortie (EES) pour enregistrer les données relatives aux entrées, aux sorties et aux refus d’entrée concernant les ressortissants de pays tiers qui franchissent les frontières extérieures des États membres et portant détermination des conditions d’accès à l’EES à des fins répressives, et modifiant la convention d’application de l’accord de Schengen et les règlements (CE) no 767/2008 et (UE) no 1077/2011 (1), et notamment son article 50, paragraphes 4 et 5,

considérant ce qui suit:

(1)	Le règlement (UE) 2017/2226 a créé le système d’entrée/de sortie (EES), qui enregistre par voie électronique le moment et le lieu d’entrée et de sortie des ressortissants de pays tiers admis pour un court séjour sur le territoire des États membres et qui calcule la durée de leur séjour autorisé.

(2)

Conformément à l’article 50, paragraphe 1, du règlement (UE) 2017/2226, les ressortissants de pays tiers dont les données doivent être enregistrées dans l’EES doivent être informés de leurs droits et obligations concernant le traitement de leurs données. Conformément à l’article 50, paragraphe 5, du règlement (UE) 2017/2226, ces informations doivent être communiquées sous la forme d’un document type.

(3)

Lorsque leur législation nationale l’exige, les États membres devraient compléter le document type en y ajoutant toute information nationale pertinente. Afin de conscientiser les ressortissants de pays tiers et dans un souci de clarté à leur égard, les États membres devraient ajouter, en particulier, des informations relatives aux conséquences du dépassement de la durée du séjour autorisé, aux droits des personnes concernées, à la possibilité d’une assistance de la part des autorités de contrôle, ainsi que les coordonnées des autorités compétentes en matière de protection des données et les modalités de dépôt d’une plainte.

(4)	Il convient donc d’établir le document type mentionné à l’article 50, paragraphe 5, du règlement (UE) 2017/2226.

(5)

Étant donné que le règlement (UE) 2017/2226 développe l’acquis de Schengen, le Danemark a notifié, le 30 mai 2018, sa décision de transposer ledit règlement dans son droit national, conformément à l’article 4 du protocole sur la position du Danemark annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne; le Danemark est donc lié par la présente décision.

(6)	La présente décision constitue un développement des dispositions de l’acquis de Schengen auxquelles l’Irlande ne participe pas (2); l’Irlande ne participe donc pas à l’adoption de la présente décision et n’est pas liée par celle-ci ni soumise à son application.

(7)

En ce qui concerne l’Islande et la Norvège, la présente décision constitue un développement des dispositions de l’acquis de Schengen au sens de l’accord conclu par le Conseil de l’Union européenne, la République d’Islande et le Royaume de Norvège sur l’association de ces deux États à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (3), qui relèvent du domaine visé à l’article 1er, point A, de la décision 1999/437/CE du Conseil (4).

(8)

En ce qui concerne la Suisse, la présente décision constitue un développement des dispositions de l’acquis de Schengen au sens de l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (5), qui relèvent du domaine visé à l’article 1er, point A, de la décision 1999/437/CE, lue en liaison avec l’article 3 de la décision 2008/146/CE du Conseil (6).

(9)

En ce qui concerne le Liechtenstein, la présente décision constitue un développement des dispositions de l’acquis de Schengen au sens du protocole entre l’Union européenne, la Communauté européenne, la Confédération suisse et la Principauté de Liechtenstein sur l’adhésion de la Principauté de Liechtenstein à l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (7), qui relèvent du domaine visé à l’article 1er, point A, de la décision 1999/437/CE, lue en liaison avec l’article 3 de la décision 2011/350/UE du Conseil (8).

(10)

En ce qui concerne la Bulgarie et la Roumanie, étant donné que la vérification prévue par la procédure d’évaluation de Schengen applicable a été réalisée avec succès, comme l’ont confirmé les conclusions du Conseil des 9 et 10 juin 2011, que les dispositions de l’acquis de Schengen relatives au système d’information Schengen ont été mises en application par la décision (UE) 2018/934 du Conseil (9) et que les dispositions de l’acquis de Schengen relatives au système d’information sur les visas ont été mises en application par la décision (UE) 2017/1908 du Conseil (10), toutes les conditions de mise en œuvre du système d’entrée/de sortie énoncées à l’article 66, paragraphe 2, point b), du règlement (UE) 2017/2226 sont remplies et ces États membres devraient donc mettre en œuvre le système d’entrée/de sortie dès sa mise en service.

(11)

En ce qui concerne Chypre et la Croatie, la mise en œuvre du système d’entrée/de sortie requiert l’octroi d’un accès passif au système d’information sur les visas et la mise en application de toutes les dispositions de l’acquis de Schengen relatives au système d’information Schengen conformément aux décisions pertinentes du Conseil. Ces conditions ne pourront être remplies qu’une fois que la vérification prévue par la procédure d’évaluation de Schengen applicable aura été réalisée avec succès. Le système d’entrée/de sortie ne devrait être mis en œuvre que par les États membres qui remplissent ces conditions au moment de sa mise en service. Les États membres qui ne mettent pas en œuvre le système d’entrée/de sortie à partir de sa mise en service devraient y être connectés, dans le respect de la procédure prévue par le règlement (UE) 2017/2226, dès que toutes ces conditions seront remplies.

(12)	Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil (11) et a rendu son avis le 11 mars 2022.

(13)	Les mesures prévues à la présente décision sont conformes à l’avis du comité des frontières intelligentes institué par l’article 68 du règlement (UE) 2017/2226,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier

Les informations visées à l’article 50, paragraphe 4, et le document type mentionné à l’article 50, paragraphe 5, du règlement (UE) 2017/2226 figurent à l’annexe de la présente décision.

Article 2

La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Fait à Bruxelles, le 28 juillet 2022.

Par la Commission

La présidente

Ursula VON DER LEYEN

(1) JO L 327 du 9.12.2017, p. 20.

(2) Le présent règlement ne relève pas du champ d’application des mesures prévues par la décision 2002/192/CE du Conseil du 28 février 2002 relative à la demande de l’Irlande de participer à certaines dispositions de l’acquis de Schengen (JO L 64 du 7.3.2002, p. 20).

(3) JO L 176 du 10.7.1999, p. 36.

(4) Décision 1999/437/CE du Conseil du 17 mai 1999 relative à certaines modalités d’application de l’accord conclu par le Conseil de l’Union européenne et la République d’Islande et le Royaume de Norvège sur l’association de ces États à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (JO L 176 du 10.7.1999, p. 31).

(5) JO L 53 du 27.2.2008, p. 52.

(6) Décision 2008/146/CE du Conseil du 28 janvier 2008 relative à la conclusion, au nom de la Communauté européenne, de l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (JO L 53 du 27.2.2008, p. 1).

(7) JO L 160 du 18.6.2011, p. 21.

(8) Décision 2011/350/UE du Conseil du 7 mars 2011 relative à la conclusion, au nom de l’Union européenne, du protocole entre l’Union européenne, la Communauté européenne, la Confédération suisse et la Principauté de Liechtenstein sur l’adhésion de la Principauté de Liechtenstein à l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen en ce qui concerne la suppression des contrôles aux frontières intérieures et la circulation des personnes (JO L 160 du 18.6.2011, p. 19).

(9) Décision (UE) 2018/934 du Conseil du 25 juin 2018 concernant la mise en application en République de Bulgarie et en Roumanie des dispositions restantes de l’acquis de Schengen relatives au système d’information Schengen (JO L 165 du 2.7.2018, p. 37).

(10) Décision (UE) 2017/1908 du Conseil du 12 octobre 2017 concernant la mise en application en République de Bulgarie et en Roumanie de certaines dispositions de l’acquis de Schengen relatives au système d’information sur les visas (JO L 269 du 19.10.2017, p. 39).

(11) Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et décision no 1247/2002/CE (JO L 295 du 21.11.2018, p. 39).

ANNEXE

Modèle pour la communication d’informations aux ressortissants de pays tiers relatives aux traitement de données à caractère personnel dans le système d’entrée/de sortie

Le système d’entrée/de sortie (1) contient des enregistrements de données à caractère personnel concernant les ressortissants de pays tiers entrant sur le territoire des États membres (2) pour y effectuer un court séjour (d’une durée maximale de 90 jours sur toute période de 180 jours). Ce système est devenu opérationnel le [date]. Depuis cette date, des informations concernant vos entrées sur le territoire des États membres et vos sorties de celui-ci, et, s’il y a lieu, des informations indiquant si l’entrée vous a été refusée, sont enregistrées dans le système d’entrée/de sortie.

À cette fin, vos données sont collectées et traitées pour le compte de [autorité de l’État membre responsable du traitement] [responsable(s) du traitement]. Veuillez vous reporter aux coordonnées figurant ci-dessous. Vos données à caractère personnel sont traitées aux fins de la gestion des frontières, pour prévenir l’immigration irrégulière et pour faciliter la gestion des flux migratoires. C’est le règlement (UE) 2017/2226 (3) qui l’exige, notamment à ses articles 14, 16 à 19 et 23 du chapitre II ainsi qu’au chapitre III.

Quelles données sont collectées, enregistrées et traitées?

Dans le contexte des vérifications effectuées aux frontières extérieures des États membres, la collecte de données à caractère personnel vous concernant est obligatoire pour l’examen des conditions d’entrée. Les données à caractère personnel suivantes sont collectées et enregistrées:

1)	des données figurant dans votre document de voyage; et

2)	des données biométriques: provenant de votre image faciale et de vos empreintes digitales (4).

Des données vous concernant sont également collectées auprès d’autres sources, en fonction de votre situation:

1)	le système d’information sur les visas: les données contenues dans votre dossier personnel; et

2)	le système européen d’information et d’autorisation concernant les voyages, en particulier le statut de votre autorisation de voyage et votre statut de membre de la famille, selon le cas.

Que se passe-t-il si vous ne fournissez pas les données biométriques demandées?

Si vous ne fournissez pas les données biométriques demandées aux fins d’un enregistrement, d’une vérification ou d’une identification dans le système d’entrée/de sortie, l’entrée vous sera refusée aux frontières extérieures.

Qui peut avoir accès aux données vous concernant?

Les États membres peuvent avoir accès à vos données pour la gestion des frontières et la facilitation du franchissement des frontières, ainsi qu’à des fins d’immigration et à des fins répressives. Europol peut également avoir accès à vos données à des fins répressives. Dans des conditions strictes, vos données peuvent également être transférées à un État membre, à un pays tiers ou à une organisation internationale figurant à l’annexe I du règlement (UE) 2017/2226 (5), à des fins de retour (6) ou à des fins répressives (7).

Vos données seront stockées dans le système d’entrée/de sortie pour la durée suivante, après quoi elles seront automatiquement effacées (8):

1)	les enregistrements de chaque entrée, sortie ou refus d’entrée sont conservés pendant 3 ans à compter de la date d’enregistrement de l’entrée, de la sortie ou du refus d’entrée (9);

2)	le dossier individuel contenant vos données à caractère personnel est conservé pendant 3 ans et un jour à compter de la date d’enregistrement de la dernière sortie ou du refus d’entrée si aucune entrée n’est enregistrée au cours de cette période;

3)	en l’absence d’enregistrement de sortie, vos données sont conservées pendant 5 ans à compter de la date d’expiration de votre séjour autorisé.

Durée restante du séjour autorisé et dépassement de la durée du séjour autorisé

Vous avez le droit d’obtenir auprès des garde-frontières des informations sur la durée maximale restante de votre séjour autorisé sur le territoire des États membres. Vous pouvez également consulter le site internet suivant [lien vers le site internet public de l’EES] ou, le cas échéant, l’équipement installé aux frontières pour vérifier vous-même la durée restante de votre séjour autorisé.

En cas de dépassement de la durée du séjour autorisé, vos données seront automatiquement ajoutées à une liste de personnes identifiées (liste des personnes identifiées comme ayant dépassé la durée du séjour autorisé). Cette liste est accessible aux autorités nationales compétentes. Si vous figurez sur cette liste de personnes ayant dépassé la durée du séjour autorisé [conséquences du dépassement de la durée du séjour autorisé devant être ajoutées par les États membres] (10). Toutefois, si vous pouvez fournir aux autorités compétentes des éléments crédibles attestant que vous avez dépassé la durée de votre séjour autorisé en raison d’événements graves et imprévisibles, vos données à caractère personnel pourront être rectifiées ou complétées dans le système d’entrée/de sortie et vous pourrez être retiré de la liste des personnes identifiées comme ayant dépassé la durée du séjour autorisé.

Vos droits concernant le traitement de données à caractère personnel

Vous bénéficiez des droits suivants:

1)	de demander au responsable du traitement l’accès aux données vous concernant;

2)	de demander que les données inexactes ou incomplètes vous concernant soient rectifiées ou complétées; et

3)	de demander que les données à caractère personnel vous concernant qui ont fait l’objet d’un traitement illicite soient effacées ou que le traitement de ces données soit limité.

Si vous souhaitez exercer l’un des droits mentionnés aux points 1) à 3), vous devez contacter le responsable du traitement des données ou le délégué à la protection des données indiqués ci-dessous.

Coordonnées de contact

Responsable(s) du traitement des données: [adresse et coordonnées devant être remplies par l’État membre — responsable du traitement des données].

Délégué(s) à la protection des données: [adresse et coordonnées devant être remplies par l’État membre].

Conformément à la répartition des tâches entre les autorités des États membres et les agences européennes concernées, vous pouvez déposer une plainte auprès:

de l’autorité de contrôle de [l’État membre] qui est chargée du traitement de vos données (par exemple, si vous affirmez que les données vous concernant ont été enregistrées de manière incorrecte):

[Informations propres à l’État membre à préciser — adresse et coordonnées]

du Contrôleur européen de la protection des données pour les questions relatives au traitement des données par les agences européennes:

[coordonnées à préciser — adresse et coordonnées]

[Informations complémentaires devant être fournies par les États membres sur les droits des personnes concernées ou la possibilité d’une assistance de la part des autorités de contrôle]. Pour de plus amples informations, veuillez consulter le site internet public du système d’entrée/de sortie: [ajouter lien/nom].

(1) Règlement (UE) 2017/2226 portant création d’un système d’entrée/de sortie (EES) pour enregistrer les données relatives aux entrées, aux sorties et aux refus d’entrée concernant les ressortissants de pays tiers qui franchissent les frontières extérieures des États membres et portant détermination des conditions d’accès à l’EES à des fins répressives, et modifiant la convention d’application de l’accord de Schengen et les règlements (CE) no 767/2008 et (UE) no 1077/2011.

(2) Autriche, Belgique, Bulgarie, Tchéquie, Danemark, Estonie, Finlande, France, Allemagne, Grèce, Hongrie, Islande, Italie, Lettonie, Liechtenstein, Lituanie, Luxembourg, Malte, Pays-Bas, Norvège, Pologne, Portugal, Roumanie, Slovaquie, Slovénie, Espagne, Suède et Suisse.

(3) Règlement (UE) 2017/2226 du Parlement européen et du Conseil du 30 novembre 2017 portant création d’un système d’entrée/de sortie (EES) pour enregistrer les données relatives aux entrées, aux sorties et aux refus d’entrée concernant les ressortissants de pays tiers qui franchissent les frontières extérieures des États membres et portant détermination des conditions d’accès à l’EES, à des fins répressives, et modifiant la convention d’application de l’accord de Schengen et les règlements (CE) no 767/2008 et (UE) no 1077/2011 (JO L 327 du 9.12.2017, p. 20).

(4) Veuillez noter que les empreintes digitales des ressortissants de pays tiers qui n’ont pas besoin d’un visa pour entrer dans l’espace Schengen et des titulaires de documents facilitant le transit seront également stockées dans le système d’entrée/de sortie. Si vous avez besoin d’un visa pour entrer dans l’espace Schengen, vos empreintes digitales seront déjà stockées dans le système d’information sur les visas dans le cadre de votre dossier y afférent, et elles ne seront pas chargées à nouveau dans le système d’entrée/de sortie.

(5) Organisation des Nations unies, Organisation internationale pour les migrations (OIM) ou Comité international de la Croix-Rouge.

(6) Article 41, paragraphes 1 et 2, et article 42.

(7) Article 41, paragraphe 6.

(8) Si vous êtes soumis à l’obligation de visa, vos empreintes digitales ne seront pas stockées dans le système d’entrée/de sortie, car elles le sont déjà dans le système d’information sur les visas.

(9) Dans le cas des ressortissants de pays tiers qui sont membres de la famille de citoyens mobiles de l’Union, de l’EEE ou de la Suisse (c’est-à-dire de citoyens de l’Union, de l’EEE ou de la Suisse qui se rendent dans un État autre que celui dont ils ont la nationalité ou qui y résident déjà) et qui accompagnent ou rejoignent le citoyen de l’Union, de l’EEE ou de la Suisse, chaque enregistrement d’une entrée, d’une sortie ou d’un refus d’entrée sera conservé pendant un an à compter de la date d’enregistrement de la sortie ou du refus d’entrée.

(10) Le calcul de la durée du séjour autorisé et la production de signalements à l’intention des États membres lorsque le séjour autorisé a expiré ne s’appliquent pas aux ressortissants de pays tiers qui sont des membres de la famille de citoyens mobiles de l’Union, de l’EEE ou de la Suisse (c’est-à-dire de citoyens de l’Union, de l’EEE ou de la Suisse qui se rendent dans un État autre que celui dont ils ont la nationalité ou qui y résident déjà) et qui accompagnent ou rejoignent un citoyen de l’Union, de l’EEE ou de la Suisse.